【潛盾機】web.config連線字串加密工具

ASP.NET 2.0起，web.cofig裡多了connectionStrings區段專門用以儲存資料庫連線字串，同時為避免連線字串中的帳號、密碼等機密資訊曝光，區段內容可以加密方式儲存。例如:

<connectionStrings>
<add name="PlaygroundConnectionString" connectionString="Data Source=(local);Initial Catalog=Playground;Integrated Security=True" providerName="System.Data.SqlClient" />
</connectionStrings>

經加密後會變成:

<EncryptedData Type="http://www.w3.org/2001/04/xmlenc#Element"
  xmlns="http://www.w3.org/2001/04/xmlenc#">
  <EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#tripledes-cbc" />
  <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
   <EncryptedKey xmlns="http://www.w3.org/2001/04/xmlenc#">
    <EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5" />
    <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
     <KeyName>Rsa Key</KeyName>
    </KeyInfo>
    <CipherData>
<CipherValue>a44a3giX...略...o+VMsXS8os=</CipherValue>
    </CipherData>
   </EncryptedKey>
  </KeyInfo>
  <CipherData>
<CipherValue>TX5qKv+s...略...3YgrV5wcA==</CipherValue>
  </CipherData>
</EncryptedData>
</connectionStrings>

如此，即便web.config遭竊，拿不到藏在伺服器主機的RSA金鑰，要破解取出帳號密碼資料難如登天。關於加解密web.config區段的做法，微軟MSDN有詳細說明:

• 加密和解密組態區段
• 匯入和匯出受保護的組態 RSA 金鑰容器 

但美中不足的是，這些加解密動作目前只能透過aspnet_regiis.exe命令列工具完成，要操作得弄清楚一堆參數。假設今天我們要加密web.config，並部署到三台機器上，全部操作如下:

1. 用aspnet_regiis -pc "SharedKeys"–exp建立三台機器共用的RSA金鑰容器(Key Container)
2. 以aspnet_regiis -px "SharedKeys" keys.xml -pri將RSA金鑰容器匯出成XML檔
3. 將keys.xml複製到三台機器上
4. 在三台機器上執行aspnet_regiis -pi "SharedKeys" keys.xml滙入RSA金鑰容器
5. 在三台機器上執行aspnet_regiis -pa "SharedKeys" "NT AUTHORITY\NETWORK SERVICE"授與ASP.NET程式執行權限 (2010-08-30更新: IIS 7.5預設會使用IIS APPPOOL\YourAppPoolName帳號而非NT AUTHORITY\NETWORK SERVICE，詳情可參見保哥的文章，以下應用到授權的地方均比照，不再重複說明。)
6. 在web.config中加入
   <configProtectedData>
   <providers>
     <add keyContainerName="SharedKey" useMachineContainer="true"
      name="SharedKey" type="System.Configuration.RsaProtectedConfigurationProvider,System.Configuration, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a" />
   </providers>
   </configProtectedData>
7. 使用aspnet_regiis -pe "connectionStrings" -app "/WebApplication" -prov "SharedKeys"加密連線字串區
8. 將加密後的web.config部署到三台機器上

以上的步驟挺繁雜的，細節頗多，我一直覺得應該要有輔助工具簡化操作較為人性化，因此我寫了Web Config ConnectionString Ecnryptor!

它是一個小工具程式，說穿了只是提供GUI的方式讓使用者輸入選項，完成原本須透過aspnet_regiis.exe才能達成的web.config加解密及RSA金鑰容器管理功能。

操作介面還蠻直覺的，下拉選單可列出本機上所有的網站應用程式，選擇要處理的web.config，下方視窗就會顯示其內容，按下【編輯】鈕可開啟Notepad進行編輯。若web.config的connectionStrings尚未加密，可按下【加密】鈕對連線字串加密；至於已加密的web.config，【加密】鈕會變成【解密】鈕，也是按一下鈕就可解密，省卻原本複雜的操作。

針對RSA金鑰容器的建立、刪除、匯出、匯入，也一併提供了GUI介面進行管理。

另外，順便練習了一下.NET多語系程式開發，程式目前支援英語與正體中文。

以下說明幾種典型應用情境之操作步驟:

1. 單一網站主機加密(使用預設加密金鑰)
   a) 由下拉選單選取網站應用程式
   b) 按下【加密】鈕
2. 單一網站主機加密(指定特定金鑰容器)
   a) 由下拉選單選取網站應用程式
   b) 輸入金鑰容器名稱
   c) 按下【加密】鈕
   (web.config中會新增<configProtectedData><providers>並加入以金鑰容器名稱為名的RsaProtectedConfigurationProvider；若該金鑰容器不存在，系統會自動新增，但自動建立的金鑰容器無法匯出給其他機器共用。如針對Web Farm，請參考下一情境。)
   d) 開啟【管理金鑰容器】功能
   e) 輸入金鑰容器名稱，並按下【授權】鈕
3. 多台網站主機共用指定RSA金鑰容器加密
   a) 啟動【管理金鑰容器】功能
   b) 輸入金鑰容器名稱，按下【建立】鈕
   c) 按【授權】鈕
   c) 按下【匯出】鈕，另存XML檔案
   d) 將XML檔案複製到要部署的網站主機，在該主機執行Web Config ConnectionString Encryptor，使用【管理金鑰容器】功能，輸入金鑰容器名稱，選取XML檔案後按下【匯入】，並執行【授權】(操作完畢請將XML檔案刪除，防止金鑰外洩)
   e) 在下拉選單選取網站應用程式
   f) 輸入金鑰容器名稱
   g) 按下【加密】鈕
   h) 將web.config複製到要部署的網站主機

我將程式及原始碼放到CodePlex中，歡迎大家參考指教!
(聲明: 雖然我認為本工具原理簡單，出錯機率不高，但各位仍請自行衡量風險決定是否使用，在此恕不對它可能造成的任何損失負責。)

CodePlex: Web Config ConnectionString Encryptor